# Konten und Berechtigungen im Lebenszyklus

> Eintritt, Wechsel und Austritt als Auslöser statt als Ticket: Rechteanhäufung, Dienstkonten ohne Besitzer und der Nachweis, dass Entzug wirklich stattgefunden hat.

Track: [Classic IT Ops](https://physar.tech/learn/classic-itops)  
Kanonische Fassung: https://physar.tech/learn/classic-itops/identity-account-lifecycle  
Stand: 2026-07-30  
Interaktiver Teil: 3 Checks (nur im Browser)

## Rechte kommen leicht und gehen schwer

### Betriebsfrage

Berechtigungen werden vergeben, wenn jemand sie braucht — und bleiben, wenn er sie nicht mehr braucht. Nach wenigen Jahren trägt ein langjähriger Mitarbeiter die Rechte aller Rollen, die er je hatte. Das ist kein Einzelfall, sondern der Normalzustand ohne Lebenszyklus.

### Mentales Modell

Eintritt → Wechsel → Austritt

Eintritt und Austritt sind klare Ereignisse mit klarem Auslöser. Der **Wechsel** ist der Fall, an dem Prozesse scheitern: Neue Rechte kommen hinzu, die alten werden vergessen — weil niemand einen Auslöser für ihren Entzug definiert hat.

### Vier Kontenarten

|  |  |
| --- | --- |
| Persönliches Konto | Genau einer Person zugeordnet. Handlungen sind zurechenbar. |
| Administratives Konto | Getrennt vom Alltagskonto, damit Alltagstätigkeiten keine erhöhten Rechte tragen. |
| Dienstkonto | Gehört einem System, nicht einer Person — braucht trotzdem einen **menschlichen** Besitzer. |
| Gemeinschaftskonto | Zurechenbarkeit geht verloren. Nur mit begründeter Ausnahme und kompensierender Protokollierung. |

### Nachweis statt Absicht

- Ein deaktiviertes Konto ist kein entzogener Zugriff, wenn Zugangsschlüssel, Sitzungen oder Anwendungsberechtigungen weiterleben.
- Wiederkehrende Überprüfungen brauchen einen Entscheider, der etwas verliert, wenn er blind zustimmt.
- Ein Dienstkonto ohne benannten Besitzer ist ein Konto, dessen Abschaltung niemand verantworten will.

### Route

> **Transfer:** Die Checks behandeln den Wechselfall, den Umgang mit besitzerlosen Dienstkonten und die Beweisführung beim Austritt.

## Quellen

- csrc.nist.gov/pubs/sp/800/53/r5/upd1/final — https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final
- pages.nist.gov/800-63-3/sp800-63b.html — https://pages.nist.gov/800-63-3/sp800-63b.html